Análises

A CVE-2026-44262 afeta o Dedoc Scramble, ferramenta que gera documentação de APIs para projetos Laravel, nas versões a partir de 0.13.2 até antes de 0.13.22. Quando os endpoints de documentação estão acessíveis publicamente e regras de validação referenciam dados fornecidos pelo usuário, esses dados podem ser avaliados durante a geração da documentação, o que pode levar à execução de código PHP arbitrário. As fontes indicam correção na versão 0.13.22, e não há exploração ativa confirmada nas fontes consultadas.

A CVE-2026-43899 afeta versões do DeepChat anteriores à v1.0.4-beta.1. O registro descreve uma mitigação incompleta da CVE-2025-55733 que deixou os manipuladores nativos de pop-up do Electron sem sanitização, permitindo que um link Markdown elaborado chegue a shell.openExternal() e contorne a validação de URLs externas. O CNA classifica como crítica, com pontuação CVSS 3.1 de 9.6, e informa que a correção está na v1.0.4-beta.1.

O plugin Career Section para WordPress apresenta uma falha de upload arbitrário de arquivos em seu manipulador de upload de currículos (CV), causada pela ausência de validação do tipo de arquivo, em todas as versões até a 1.7, inclusive. A pontuação CVSS 3.1 informada pela Wordfence é 9.8 (crítica), e a descrição indica que atacantes não autenticados poderiam enviar arquivos potencialmente executáveis, o que pode viabilizar a execução remota de código. O registro não informa versão corrigida nem inclusão no catálogo KEV.

A CVE-2026-13851 é uma falha de validação inadequada de entrada no componente WebAppInstalls do Google Chrome para Android anterior à versão 150.0.7871.47. Segundo o registro, um atacante local pode contornar o controle de acesso discricionário por meio de uma página HTML criada. A vulnerabilidade não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-77099 é uma falha crítica de validação de entrada no Commvault CVFS, classificada no registro como injeção de comando no sistema operacional (CWE-78). O registro informa pontuação CVSS 4.0 de 9.3 e lista faixas afetadas para Commvault Cloud e Grid(HSX) CVFS, mas não indica versões corrigidas. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-32661 é um estouro de buffer baseado em pilha (CWE-121), de severidade crítica, que afeta o GUARDIANWALL MailSuite e o GUARDIANWALL Mail Security Cloud (versão SaaS), segundo o registro analisado com base no JPCERT/CC. De acordo com o registro, uma requisição remota especialmente elaborada ao serviço web pode permitir execução de código arbitrário quando o produto está configurado para executar pop3wallpasswd com o privilégio do usuário grdnwww. Não há inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas, e o registro não lista versão corrigida.

A CVE-2026-13872 é uma falha de validação inadequada de entrada no componente WebAppInstalls do Google Chrome para Android, que afeta versões anteriores à 150.0.7871.47. O registro descreve um atacante local que, por meio de um arquivo malicioso, poderia potencialmente escapar da sandbox do navegador. A pontuação CVSS 3.1 de 9.1 informada usa vetor de rede, o que diverge do cenário local descrito e exige verificação com a fonte do fornecedor.

Uma falha de Cross-Site Request Forgery no website do MISP Modules afeta as versões 3.0.7 e anteriores. O blueprint home estava isento da proteção CSRF, o que poderia permitir que um atacante levasse um usuário autenticado a enviar requisições não intencionais. O registro classifica a severidade como crítica (CVSS 4.0 com pontuação 9.3) e não a lista no CISA KEV.

O Chrome para iOS anterior à versão 150.0.7871.47 apresenta falha de validação insuficiente de entrada não confiável (CWE-20) que, segundo o registro, pode permitir que um atacante remoto que já tenha comprometido o processo renderer tente escapar do sandbox por meio de uma página HTML elaborada. A CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.6, e o registro não indica inclusão no catálogo KEV. A principal medida é atualizar o Chrome para iOS para 150.0.7871.47 ou superior.

A CVE-2026-7182 é uma fraqueza de path traversal (CWE-22) no módulo de exportação do Diagram. A falta de sanitização de HTML no atributo src pode permitir que arquivos locais do servidor apareçam em PDFs gerados. A CERT Polska atribuiu nota 9.2 no CVSS 4.0 (crítica), e a descrição informa que o problema foi corrigido na versão 1.1.1. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-40621 afeta dispositivos de ponto de acesso LAN sem fio da ELECOM, que não exigem autenticação para acessar algumas URLs específicas, podendo ser operados sem autenticação. O CNA JPCERT/CC atribui pontuação 9,8 pelo CVSS 3.0 e 9,3 pelo CVSS 4.0. O registro não informa modelos, versões afetadas nem correções, então os administradores devem consultar diretamente o aviso do fabricante e o JVN.

A CVE-2026-8072 afeta a função de acesso local SAT (Suporte Técnico) do Ingecon Sun EMS Board. As credenciais secretas de acesso foram geradas com um algoritmo de hash fraco, em vez de um esquema criptográfico seguro, o que poderia permitir escalonamento de privilégios. O registro não informa versões afetadas ou corrigidas, e nenhuma exploração confirmada aparece nas fontes consultadas.

O wger, gerenciador gratuito e de código aberto para treinos e fitness, apresenta uma falha de autorização incorreta (CWE-863) nas views reset_user_password e gym_permissions_user_edit. Uma verificação de escopo de academia feita com o operador != avalia None != None como False, o que faz a checagem ser ignorada para usuários sem academia atribuída. Segundo o registro, a falha permite tomada de conta em uma única ação e foi corrigida na versão 2.6.

A CVE-2026-82103 é uma falha de exposição de informações sensíveis (CWE-200) no IBM DataStage on Cloud Pak for Data versão 5.4.0.0, classificada pelo CNA como crítica, com pontuação CVSS 3.1 de 9,6. As fontes consultadas descrevem um atacante remoto autenticado capaz de obter informações sensíveis, e não há exploração confirmada nessas fontes. Como o registro não traz versões corrigidas, administradores devem consultar diretamente o boletim do fornecedor IBM.

A CVE-2026-6512 é uma falha de falta de autorização (CWE-862) no plugin InfusedWoo Pro para WordPress, que afeta todas as versões até a 5.1.2 inclusive. Segundo o registro, usuários não autenticados poderiam excluir conteúdos permanentemente, apagar em massa comentários e alterar o status de posts. A Wordfence informa pontuação CVSS 3.1 de 9.1 (Crítica), e não há exploração confirmada nas fontes consultadas.